DPO esterno o interno all’azienda: rischi e vantaggi

In azienda il DPO può essere interno o esterno. È possibile dunque scegliere tra un dipendente dell’azienda oppure un collaboratore esterno che a sua volta può lavorare all’interno di una società o come libero professionista. A livello legale non ci sono differenze tra una soluzione o l’altra. Lato pratico però esistono differenze che possono rendere la scelta più o meno complessa.

Il ruolo del DPO è di per sé piuttosto complicato poiché deve essere in grado di rivestire numerosi incarichi: dall’aspetto legale a quello organizzativo. I compiti del DPO richiedono numerose competenze trasversali anche e soprattutto di natura comunicativa. Molte volte il DPO è chiamato a dire cose scomode all’azienda e quando questo ruolo è ricoperto da un dipendente le cose possono essere ancora più complicate.

Sembra evidente che non è possibile improvvisare. Cosa fare per diventare Data Protection Officer? Per prima cosa è necessario seguire un Corso DPO ma è altrettanto importante fare pratica e non smettere mai di seguire corsi di formazione per riuscire a svolgere gli incarichi nel modo giusto.

Vantaggi del DPO interno ed esterno

In caso di DPO interno secondo l’art. 38 comma 6 GDPR, la figura può ricoprire anche altre mansioni e funzioni oltre a quelle strettamente connesse al privacy officer. Le uniche attività escluse sono quelle che riguardano il vertice e che caratterizzano la ricerca delle finalità e dei mezzi per il trattamento da parte del titolare dello stesso. Sono incluse anche le funzioni più vicine al core business dell’azienda, come ad esempio quelle legate alle vendite, alla finanza, al marketing e all’IT.

La figura del DPO deve essere indipendente e deve poter agire in modo autonomo a livello di gestione, organizzazione e relazione con la struttura dell’azienda. Questo significa che deve potersi relazionare con i vertici dell’azienda e interagire senza alcun timore, così come espresso dal GDPR.

Se tra i vantaggi del DPO interno troviamo il fatto di poter contare su una risorsa interna che può sfruttare un punto di vista interno dell’azienda per svolgere questo incarico, dall’altro lato il DPO esterno può garantire una maggiore autonomia senza alcuna paura di parlare con il vertice dell’azienda.

I contro del DPO interno ed esterno

I contro del DPO interno sono piuttosto evidenti e si riferiscono alla difficoltà a rispettare il principio di autonomia e indipendenza, alimentando così il problema del conflitto di interessi. Svolgere in modo sereno il proprio ruolo potrebbe non essere così semplice se il DPO è anche dipendente dell’azienda.

Quando il DPO è esterno può essere considerato totalmente indipendente e capace di agire in modo autorevole e con la tranquillità necessaria. In questo caso infatti la figura non è alle dipendenze dell’azienda ma riporta direttamente al titolare del trattamento dati alla pari, senza dover sottostare ad alcuna gerarchia.

La nomina del DPO

Ricordiamo che la figura del Data Protection Officer (DPO), o anche Responsabile per la Protezione dei Dati (RPD), è stata introdotta dal nuovo regolamento europeo in materia di protezione dei dati personali (art. 37 GDPR). Il suo ruolo è quello di essere garante della privacy, senza fare gli interessi del titolare del trattamento. Il DPO può essere nominato dal titolare o dal responsabile del trattamento e dovrà essere comunicata all’autorità di controllo nazionale.

Il DPO è obbligatorio solo in 3 casi:

1. nelle amministrazioni e negli enti pubblici, ad esclusione delle autorità giudiziarie nell’esercizio delle loro funzioni;
2. se l’attività principale, svolta dal titolare o dal responsabile del trattamento, consiste nel trattamento dati con il controllo regolare e sistematico degli interessati su larga scala;
3. se l’attività principale consiste nel trattamento su larga scala di dati sensibili, che riguardano la salute, la vita sessuale, genetici, giudiziari e biometrici.